Contents

Introduction

P. Por que o ASA envia pacotes para o módulo IPS para inspeção quando não há política de IPS configurada?

Informações Relacionadas

Introduction

Este documento descreve por que o Cisco Adaptive Security Appliance (ASA) pode enviar tráfego para um módulo de serviço incorporado para inspeção quando não há uma política de módulo do Intrusion Prevention System (IPS) na configuração.

P. Por que o ASA envia pacotes para o módulo IPS para inspeção quando não há política de IPS configurada?

A.

É possível que uma conexão tenha sido criada para enviar tráfego ao módulo IPS para inspeção quando o ASA foi configurado e que a conexão ainda esteja ativa.

Por exemplo, um cliente com um ASA5515-IPS não tem uma política configurada em um mapa de política para enviar o tráfego para o módulo IPS de software; no entanto, o tráfego chega ao módulo do ASA.

Ao usar o recurso de exibição de pacote no IPS, você pode ver o tráfego que chega ao IPS do ASA:

14:34:38.341927 IP 192.168.1.2.1719 > 192.168.10.39.1888: UDP, length 128

14:34:38.341992 IP 192.168.1.2.1719 > 192.168.10.39.1888: UDP, length 128

14:34:38.345031 IP 192.168.1.2.1719 > 192.168.110.39.1888: UDP, length 34

14:34:38.345068 IP 192.168.1.2.1719 > 192.168.110.39.1888: UDP, length 34

As estatísticas de interface na interface de detecção de IPS foram limpas e os pacotes foram recebidos:

sensor#  show interfaces portChannel

MAC statistics from interface PortChannel0/0

Interface function = Sensing interface

Description =

Media Type = backplane

Default Vlan = 0

InlineMode = Unpaired

Pair Status = N/A

Hardware Bypass Capable = No

Hardware Bypass Paired = N/A

Link Status = Up

Admin Enabled Status = Enabled

Link Speed = N/A

Link Duplex = N/A

Missed Packet Percentage = 0

Total Packets Received = 128

Total Bytes Received = 17904

Total Packets Transmitted = 128

Total Bytes Transmitted = 17904

A causa do problema é que em algum momento do passado uma configuração foi adicionada ao ASA para enviar tráfego para o módulo IPS, e as conexões não foram apagadas depois que a configuração do IPS foi removida no ASA. Isso é comum com protocolos não TCP que transmitem tráfego constantemente.

No ASA, digite o comando show conn para determinar se os pacotes que você vê no módulo IPS têm entradas de conexão. Para ver os tempos de atividade, insira o comando show conn detail. Para garantir que as conexões não sejam redirecionadas para o IPS, você pode ter que digitar o comando clear conn <address> no ASA para limpar essas conexões específicas:

ASA# clear conn address 192.168.1.2

3 connection(s) deleted.

ASA#

Informações Relacionadas

- Suporte Técnico e Documentação - Cisco Systems